GDPR 罰鍰風險，財報上要提列負債準備，還是揭露或有負債？
依 IAS 37，負債準備要三個條件同時成立：
- 因過去事項而負有現時義務（法定或推定）
- 很有可能需要流出資源以清償該義務
- 義務金額能可靠估計
不符合就不認列準備。或有負債不在資產負債表認列，但除非資源流出的可能性極低，應在附註揭露。
套用到 GDPR，要依序檢視：是否已發生外洩或已有監管調查（過去事項）、程序進展到哪裡、金額能否估計。是否認列、揭露與金額，由簽證會計師依個案判斷；法律評估由法律顧問提供。
罰鍰上限多少？這個曝險要怎麼放進董事會與審計委員會的報告？
- GDPR 第 83 條：最高 2,000 萬歐元或全球年營業額 4%，取其高者；外洩後還要通報主管機關與當事人，並面對求償與聲譽損失
- 台灣個資法：2023 年修正後，非公務機關違反安全維護義務的罰鍰上限為新臺幣 1,500 萬元
- ESG 評鑑 S-13：揭露個資保護政策與實施情形
ESG 評鑑 G-18 允許由審計委員會督導風險管理；把個資曝險收進同一張風險地圖，隨年度風險報告提報。罰鍰能否由保險承擔，依保單條款與適用法律而定，由法律顧問個案判斷。ESG 評鑑對象是上市櫃公司；非公開發行公司不受此規範，可自願參考。
跨國子公司的員工基本資料表傳回台灣母公司，算不算跨境傳輸？
依 EDPB 指引 05/2021，「傳輸到第三國」要三個條件同時成立：①輸出者就該處理受 GDPR 規範；②輸出者使個資可被另一個控制者、共同控制者或處理者取得；③輸入者位於第三國。
- 同一集團的不同法人可能各自是控制者或處理者；指引例示歐盟子公司提供資料給第三國母公司，屬第五章的傳輸
- 同一控制者的員工在境外遠端存取，不構成傳輸
台灣目前沒有歐盟的適足性決定。台灣端另有個資法第 21 條，中央目的事業主管機關得限制國際傳輸。個案是否構成傳輸，由法律顧問判斷。
跨境傳輸機制會帶來哪些集團成本與合約工作？
構成傳輸時，要選一種保障機制，各有不同的成本結構：
- 標準契約條款（第 46 條保障措施）：在集團法人之間簽約、評估傳輸影響並建立跨境傳輸紀錄
- 拘束性企業規則（BCR）：集團向歐盟以外成員傳輸時採用的政策，對集團成員及其員工具法律拘束力；須送主管資料保護機關核准，並經 EDPB 出具意見
可委託項目不含系統改造與律師正式意見，這兩筆要另列。財務長應把法律意見、契約管理與核准時程一起納入預算規劃。
預算編列：獨立導入 ISO 27701 和與 ISO 27001 整合，成本結構差在哪？
| 路徑 | 適用 | 預算重點 |
|---|---|---|
| 獨立導入 | 尚無 ISO 27001 | 從頭建立範圍、風險、稽核、管理審查 |
| 與 ISO 27001 整合 | 已有 ISO 27001 | 重用既有制度，重點在個資專屬控制與角色界定 |
成本另受角色（控制者或處理者）、範圍與要對應的法規數量影響；驗證費由驗證機構依範圍報價，屬外部費用。報價不以文件頁數決定。本頁不列費用。
ISO 27701 證書等於 GDPR 合規嗎？要多久？
不等於。ISO 27701 證書屬於管理系統驗證，不是 GDPR 第 42 條的認證機制；第 27 條歐盟代表、SCC 模組選擇、DPIA 是否強制，都是 27701 不處理的法律判斷。
服務頁所列時程：
- GDPR 基礎合規建制：通常 2–3 個月
- 整合 ISO 27701 認證：5–8 個月；已有 ISO 27001 基礎者可縮短至 3–5 個月
持 2019 版證書者，過渡期預計至 2028 年 10 月（依驗證機構公告），可在下一次重驗週期併入轉版。
積穗科研怎麼協助財務長處理 GDPR 與 ISO 27701？
- 由副總、董事級顧問全程親自輔導、不外包
- 以 ISO 27701 PIMS 框架整合 GDPR 與台灣個資法，一套制度同時滿足、避免重複建制
- 協助審查 SCCs 合約條款、評估傳輸影響並建立完整跨境傳輸記錄；建立 72 小時個資外洩通報演練與年度複查機制
- 會計認列與法律意見分別由簽證會計師與律師負責
客戶授權公開的個人資料保護輔導客戶包括金融聯合徵信中心、Lativ、卓元科健、超核心健身中心。延伸閱讀：GDPR 合規輔導、ISO 27701、GDPR 顧問怎麼選、ISO 27701 預算、財務長角色頁。申請免費機制診斷
其他角色怎麼看這項服務
同一角色的其他服務
- 財務長導入 ERM：董事會報告、年報風險事項與 ESG 評鑑要先準備什麼？
- 財務長看 ISO 27001：年報資安揭露、ESG 加分與預算怎麼編？
- 財務長導入 ISO 37001：財務控制、誠信揭露與跨境賄賂曝險怎麼管？
- 財務長看營業秘密與 ISO 56001：研發價值保護與 ESG 加分怎麼算？
- 財務長導入 ISO 22301：營運中斷損失、RTO 投資與預算怎麼估？
- 財務長看 DORA：歐盟金融客戶的合約條款與罰則曝險怎麼評估？
- 財務長看 EU CRA 與 EU AI Act：歐盟營收風險、罰則與預算怎麼編？
- 財務長看 NIS2：罰鍰上限、管理階層責任與準備怎麼評估？
- 財務長看數位轉型：預算怎麼編、效益怎麼量、成本怎麼認列？
- 財務長看 AI 轉型：投資效益、罰則曝險與成本認列怎麼判斷？
官方來源
- IFRS Foundation：IAS 37 Provisions, Contingent Liabilities and Contingent Assets（準則摘要）
- IFRS Foundation：ASAF 2024 年 7 月議程文件 AP3E（引述 IAS 37 第 14 段）
- Regulation (EU) 2016/679 GDPR（EUR-Lex）
- EDPB：Guidelines 05/2021 on the interplay between Article 3 and Chapter V of the GDPR（v2.0，2023-02-14）
- European Commission：Binding corporate rules (BCR)
- EDPB：Binding Corporate Rules
- 臺北市法規查詢系統：法務部函引個人資料保護法第 21 條
- 臺北市法規查詢系統：法務部 107.08.21 法律字第10703511390號函